Jak działał atak
Atakujący wziął pożyczkę flash z Kamino – pożyczkę, którą trzeba spłacić w ramach tej samej transakcji – i wykorzystał te środki do sztucznego przesunięcia równowagi pul płynności Allbridge. Tymczasowo zawyżając jedną stronę puli, atakujący był w stanie wypłacić większą ilość innego aktywa po zniekształconym kursie. Po wypłacie pożyczka flash została spłacona, pozostawiając pule Allbridge z niedoborem około 1,65 mln dolarów.
Same pożyczki flash są powszechnym narzędziem DeFi, ale stają się niebezpieczne w połączeniu z manipulacją cenami lub słabościami oracle. W tym przypadku atakujący wykorzystał sposób, w jaki pule Allbridge obliczają kursy wymiany na podstawie wewnętrznych sald tokenów.
Reakcja Allbridge
Allbridge potwierdził incydent w mediach społecznościowych i poinformował, że wstrzymał wszystkie operacje w celu przeprowadzenia dochodzenia. Zespół powiedział, że pracuje nad planem odzyskania środków i poda szczegóły po zakończeniu dochodzenia. Użytkownikom zalecono, aby nie deponowali ani nie wypłacali środków do odwołania.
Protokół nie ogłosił harmonogramu wznowienia usług. Nie jest jasne, czy skradzione środki uda się odzyskać, ani czy Allbridge zrekompensuje dotkniętym użytkownikom.
Rola Kamino
Kamino, protokół pożyczkowy, który udzielił pożyczki flash, nie był bezpośrednim celem. Pożyczki flash są standardową funkcją na wielu platformach DeFi i często są używane do legalnego arbitrażu i refinansowania. Jednak umożliwiają one również ataki w połączeniu z lukami w innych protokołach. Kamino nie skomentował incydentu.
Atak podkreśla trwałe ryzyko w zdecentralizowanych finansach: nawet jeśli poszczególne protokoły są bezpieczne, komponowalność DeFi może tworzyć nieoczekiwane powierzchnie ataku. Allbridge jest najnowszym z serii mostów cross-chain i protokołów płynności, które padły ofiarą ataku flash loan.
Allbridge nie powiedział, czy wdroży nowe zabezpieczenia lub zmieni swój mechanizm wyceny. Oczekuje się, że
